Andvari
Sommaire

Installer et configurer Andvari#

Andvari est un gestionnaire de mots de passe auto-hébergé, chiffré de bout en bout. Un serveur sur votre machine ou votre VM garde le coffre ; l'interface web, l'app de bureau et le client en ligne de commande chiffrent et déchiffrent tout sur l'appareil. Le serveur ne voit jamais un mot de passe en clair.

1. Prérequis#

  • Une machine ou une VM Debian 12 ou 13 (amd64) pour le serveur.
  • Un accès à cette machine depuis vos appareils : réseau local, ou VPN (WireGuard, Tailscale…) pour y accéder de partout. Andvari n'a pas besoin d'être exposé sur Internet, et c'est préférable.
  • Pour l'app de bureau : Debian 12 ou 13, ou une distribution équivalente avec WebKitGTK 4.1.

2. Installer#

sudo apt install ./andvari-server_0.5.0_amd64.deb

Le paquet installe :

Élément Emplacement
Programme /usr/bin/andvari-server
Configuration /etc/andvari/andvari.env
Coffre (base SQLite) /var/lib/andvari/andvari.db
Sauvegardes automatiques /var/lib/andvari/backups/
Service andvari (systemd)

Le service démarre aussitôt, mais n'écoute que sur la machine elle-même (127.0.0.1:8080) et la création du coffre est fermée.

3. Ouvrir l'accès en HTTPS#

Les navigateurs n'autorisent le chiffrement que sur une page en HTTPS : Andvari intègre son propre HTTPS, sans reverse proxy. Dans /etc/andvari/andvari.env, remplacez les lignes ANDVARI_ADDR et ANDVARI_TLS par :

ANDVARI_ADDR=10.8.0.1:8443
ANDVARI_TLS=auto
ANDVARI_TLS_HOSTS=10.8.0.1

10.8.0.1 est l'adresse de la machine telle que la voient vos appareils (par exemple son adresse WireGuard). Plusieurs noms ou adresses : séparez-les par des virgules (10.8.0.1,andvari.lan).

sudo systemctl restart andvari
sudo journalctl -u andvari | grep SHA-256

Au premier démarrage, le serveur crée une autorité de certification locale et son certificat, renouvelé automatiquement. Notez l'empreinte SHA-256 affichée : elle sert à vérifier l'autorité sur vos appareils.

L'autorité ne peut signer que des adresses privées (10.x, 172.16-31.x, 192.168.x, 100.64.x, fdxx::) et les noms déclarés. Même installée sur vos appareils, elle ne permet pas d'usurper un site public.

Vous avez déjà un certificat (Let's Encrypt par exemple) ? Utilisez ANDVARI_TLS=files avec ANDVARI_TLS_CERT et ANDVARI_TLS_KEY.

4. Créer le coffre#

  1. Dans /etc/andvari/andvari.env, décommentez ANDVARI_SETUP_TOKEN= et donnez-lui une valeur secrète, puis sudo systemctl restart andvari.
  2. Ouvrez https://10.8.0.1:8443, saisissez ce jeton et choisissez votre mot de passe maître (12 caractères minimum).
  3. Recommentez ANDVARI_SETUP_TOKEN et redémarrez : plus personne ne pourra créer de compte.

Le mot de passe maître ne peut pas être récupéré. Ni le serveur ni personne ne le connaît. Si vous l'oubliez, le coffre est perdu.

5. Ajouter vos appareils#

Dans l'interface web, Paramètres › Appareils affiche l'empreinte de l'autorité et un bouton pour la télécharger, avec la marche à suivre pour Firefox, Chrome, Windows, Linux et Android. Vérifiez que l'empreinte est identique à celle du journal du serveur.

App de bureau#

sudo apt install ./Andvari_0.5.0_amd64.deb

Au premier lancement, saisissez l'adresse du serveur. L'app récupère elle-même le certificat et affiche son empreinte : comparez-la à celle de l'interface web, puis acceptez. Rien à installer dans le système.

En ligne de commande#

sudo apt install ./andvari-cli_0.5.0_amd64.deb
andvari-cli login -server https://10.8.0.1:8443
andvari-cli list

6. Sauvegardes#

Le serveur copie le coffre au démarrage puis toutes les 24 heures dans /var/lib/andvari/backups/, et garde les 14 copies les plus récentes (ANDVARI_BACKUP_INTERVAL, ANDVARI_BACKUP_KEEP). Ces copies restent sur la machine : gardez-en une ailleurs, avec Paramètres › Import / sauvegarde › Télécharger la base, ou en incluant ce dossier dans les sauvegardes de votre hyperviseur.

Les copies ne contiennent que des données chiffrées : il faut le mot de passe maître pour les relire.

Restaurer une copie :

sudo systemctl stop andvari
sudo cp /var/lib/andvari/backups/andvari-AAAA-MM-JJ-HHMMSS.db /var/lib/andvari/andvari.db
sudo rm -f /var/lib/andvari/andvari.db-wal /var/lib/andvari/andvari.db-shm
sudo systemctl start andvari

7. Mettre à jour#

Relancez sudo apt install avec le nouveau paquet. La configuration et le coffre sont conservés. Si andvari.env a changé entre deux versions, apt demande quelle version garder.

8. Configuration complète#

Variable Défaut Rôle
ANDVARI_ADDR 127.0.0.1:8080 Adresse d'écoute
ANDVARI_TLS off off, auto (autorité locale) ou files (certificat fourni)
ANDVARI_TLS_HOSTS Adresses et noms du certificat (auto)
ANDVARI_TLS_CERT, ANDVARI_TLS_KEY Certificat et clé (files)
ANDVARI_DB /var/lib/andvari/andvari.db Base du coffre
ANDVARI_SETUP_TOKEN Autorise la création du coffre ; à retirer ensuite
ANDVARI_BACKUP_INTERVAL 24h Sauvegarde automatique (0 = désactivée)
ANDVARI_BACKUP_KEEP 14 Nombre de copies gardées
ANDVARI_TRUST_PROXY 1 derrière un reverse proxy

Commandes utiles :

sudo systemctl status andvari
sudo journalctl -u andvari -f

9. Bonnes pratiques de sécurité#

  • N'exposez pas Andvari sur Internet. Gardez-le sur le réseau local ou derrière un VPN.
  • Choisissez un mot de passe maître long et unique : une phrase de plusieurs mots fait très bien l'affaire.
  • Retirez ANDVARI_SETUP_TOKEN dès le coffre créé.
  • Gardez une copie du coffre hors de la machine.
  • Supprimez tout export en clair (CSV) dès qu'il a servi.
  • Pour vos comptes les plus sensibles, gardez le code 2FA dans une app séparée plutôt que dans le coffre.

Utiliser Andvari#

L'interface est la même dans le navigateur et dans l'app de bureau.

Déverrouiller et verrouiller#

Le coffre s'ouvre avec le mot de passe maître. Il se verrouille tout seul après 10 minutes sans activité, au rechargement de la page, ou avec le bouton Verrouiller. Une fois verrouillé, plus rien n'est lisible sur l'appareil.

Après 5 mots de passe faux, le serveur bloque les tentatives pendant 30 secondes, puis de plus en plus longtemps.

Entrées#

Une entrée contient un nom, un identifiant, un mot de passe, une adresse, un code 2FA et des notes. Toutes ces informations sont chiffrées ensemble.

  • Nouvelle crée une entrée ; le générateur propose un mot de passe dès l'ouverture.
  • Dans la fiche d'une entrée : boutons pour copier l'identifiant, le mot de passe ou le code 2FA. Le presse-papiers est vidé au bout de 30 secondes.
  • La recherche (touche /) porte sur les noms, identifiants, adresses et dossiers.

Les modifications sont synchronisées entre vos appareils toutes les 30 secondes. Si une entrée a été modifiée ailleurs entre-temps, Andvari ne l'écrase pas : il recharge la version à jour et vous prévient.

Dossiers et favoris#

  • La barre de gauche affiche Tous les éléments, Favoris, Sans dossier et vos dossiers.
  • Glissez une entrée sur un dossier pour l'y ranger, ou choisissez son dossier dans le formulaire.
  • L'étoile d'une entrée l'ajoute aux favoris.
  • Paramètres › Dossiers : créer, renommer ou supprimer un dossier. Supprimer un dossier ne supprime pas ses entrées : elles passent dans « Sans dossier ».

Les noms des dossiers sont chiffrés comme le reste du coffre.

Codes 2FA (TOTP)#

  1. Sur le site, choisissez une « application d'authentification ».
  2. Dans le formulaire de l'entrée, champ Code 2FA : collez une capture du QR code (Ctrl+V), choisissez l'image avec Image de QR code, ou collez la clé secrète.
  3. Le code actuel s'affiche aussitôt : recopiez-le sur le site pour valider.

La fiche de l'entrée affiche ensuite le code avec un compte à rebours. En ligne de commande : andvari-cli totp NOM.

Générateur#

Le bouton baguette ouvre le générateur : longueur de 8 à 64 caractères, majuscules, minuscules, chiffres et symboles. Les caractères ambigus (0/O, 1/l) sont exclus.

Importer et exporter#

Paramètres › Import / sauvegarde.

  • Importer depuis Bitwarden (JSON ou CSV), Psono (JSON), KeePass / KeePassXC (CSV), Firefox, Chrome / Edge, LastPass, un CSV générique, ou un fichier .andvari. Un aperçu montre les entrées trouvées, les éléments ignorés et les doublons, avant d'importer.
  • Exporter en fichier .andvari chiffré par un mot de passe d'export (recommandé), ou en CSV en clair après confirmation du mot de passe maître.
  • Télécharger la base : une copie du coffre chiffré tel que le serveur le garde.

Thèmes#

Paramètres › Apparence : Automatique, Nuit, Parchemin, Fjord, Braise ou Givre. Le choix est propre à chaque appareil.

Client en ligne de commande#

andvari-cli login -server https://10.8.0.1:8443
andvari-cli list
andvari-cli show NOM
andvari-cli add [-generate 24]
andvari-cli totp NOM
andvari-cli rm NOM
andvari-cli gen -n 32
andvari-cli logout

Le mot de passe maître est demandé à chaque commande et n'est jamais enregistré.

Comment Andvari protège vos données#

  • Le mot de passe maître est transformé en clé par Argon2id (64 Mio, 3 passes) sur l'appareil. Il ne quitte jamais l'appareil.
  • Le coffre est chiffré en AES-256-GCM. Chaque entrée est liée à son identifiant : le serveur ne peut ni lire, ni modifier, ni échanger deux entrées sans que l'appareil le détecte.
  • Le serveur ne reçoit qu'une clé de connexion dérivée, qu'il stocke elle-même hachée par Argon2id.
  • Changer d'appareil ne demande aucun transfert de clé : le mot de passe maître suffit.
← Retour à l'accueilHaut de page ↑